CVE-2018-6574

CVE-2018-6574 Golang go get 命令的远程命令执行漏洞利用。 介绍 当你使用 go get 获取一个包时，Go 的设计是构建并安装该包，而不运行其中的任何代码。其意图是，你可以安全地获取、构建甚至安装 Go 包，而完全不需要信任它们。理论上，这对 Go 工具链来说似乎是一项简单的任务，但实际上，这是一个真正的挑战。go get 在幕后做了很多工作，包括以受包配置严重影响的方式调用第三方工具，如 git 和 clang。确保这些调用的安全性是一场持久战，而 Go 尚未完全获胜。 当 cgo 启用时，“go get” 期间的构建步骤会调用宿主机的 C 编译器（gcc ...